等级保护三级管理测评

1、三级管理要求(S3A3G3)等级保护三级管理类测评控制点(S3A3G3)类别序号测评内容测评方法结果记录符合情况YNO安全管理机构岗位 设置1.应设立信息安全管理工作的职能部门， 设立安全主管 人、安全管理各个方面的负责人岗位， 定义各负责人的 职责。访谈，检查。安全主管，安全管理某方占a fa击rz ?t 屮 /、i=rnn2.应设立系统管理人员、网络管理人员、安全管理人员岗 位，定义各个工作岗位的职 责。3.应成立指导和管理信息安全工作的委员会或领导小 组，其最高领导由单位主管领导委任或授权。面的负责人，部门、冈位职责乂件。4.应制定文件明确安全管理机构各个部门和岗位的职 责、分工和技能要

2、求。人员 配备5.应配备一定数量的系统管理员、网络管理员、安全管 理员等。访谈，检查。安全主管，人员配备要求 的相关文档，管理人员名单。6.应配备专职安全管理员，不可兼任。7.关键事务岗位应配备多人共同管理。授权 和审 批8.应根据各个部门和岗位的职责明确授权审批事项、审 批部门和批准人等。访谈，检查。安全主管，关键活动的批 准人，审批事项列表，审批文档。9.应针对系统变更、重要操作、物理访冋和系统接入等 事项建立审批程序，按照审批程序执行审批过程，对 重要活动建立逐级审批制度。10.应定期审查审批事项， 及时更新需授权和审批的项目、等级保护三级管理类测评控制点（S3A3G3）类别序号测评内容

3、测评方法结果记录符合情况YNO审批部门和审批人等信息。11.应记录审批过程并保存审批文档。沟通 和合 作12.应加强各类管理人员之间、组织内部机构之间以及信 息女全职能部门内部的合作与沟通，疋期或不疋期召 开协调会议，共同协作处理信息安全问题。访谈，检查。安全主管，安全管理人员， 会议文件，会议记录，外联单位说明文 档。13.应加强与兄弟单位、公安机关、电信公司的合作与沟 通。14.应加强与供应商、业界专家、专业的安全公司、安全 组织的合作与沟通。15.应建立外联单位联系列表，包括外联单位名称、合作 内容、联系人和联系方式等信息。16.应聘请信息安全专家作为常年的安全顾问，指导信息 安全建设，

4、参与安全规划和安全评审等。审核 和检 查17.安全管理员应负责定期进行安全检查，检查内容包括 系统日常运行、系统漏洞和数据备份等情况。访谈，检查。安全主管，安全员，安全 检查记录。18.应由内部人员或上级单位疋期进仃全面安全检查，检 查内容包括现有安全技术措施的有效性、安全配置与 安全策略的一致性、安全管理制度的执行情况等。19.应制定安全检查表格实施安全检查，汇总安全检查数 据，形成安全检查报告， 并对安全检查结果进行通报。等级保护三级管理类测评控制点（S3A3G3）类别序号测评内容测评方法结果记录符合情况YNO20.应制定安全审核和安全检查制度规范安全审核和安全 检查工作，定期按照程序进行

5、安全审核和安全检查活 动。安全管理制度管理制度21.应制定信息安全工作的总体方针和安全策略，说明机 构安全工作的总体目标、范围、原则和安全框架等。访谈，检查。安全主管，总体方针、政22.应对安全管理活动中的各类管理内容建立安全管理制 度。23.应对要求管理人员或操作人员执行的日常管理操作建 立操作规程。策性文件和安全策略文件，安全官理制 度清单，操作规程。24.应形成由安全策略、管理制度、操作规程等构成的全 面的信息安全管理制度体系。制定 和发 布25.应指定或授权专门的部门或人员负责安全管理制度的 制定。访谈，检查。安全主管，制度制定和发 布要求管理文档，评审记录，安全管理 制度。26.安全

6、管理制度应具有统一的格式，并进行版本控制。27.应组织相关人员对制定的安全管理制度进行论证和审28.安全官理制度应通过正式、有效的方式发布。29.安全管理制度应注明发布范围， 并对收发文进行登记。评审 和修 订30.信息安全领导小组应负责定期组织相关部门和相关人 员对安全管理制度体系的合理性和适用性进行审定。访谈，检查。安全主管，安全管理制度 列表，评审记录。31.应疋期或不疋期对安全官理制度进仃检查和审疋，对类别序号测评内容测评方法结果记录符合情况YNO存在不足或需要改进的安全管理制度进行修订。人员录用32.应指定或授权专门的部门或人员负责人员录用。访谈，检查。人事负责人，人事丄作人 员，人

7、员录用要求管理文档， 人员审查 文档或记录，考核文档 或记录，保密 协议。33.应严格规范人员录用过程，对被录用人的身份、背景、 专业资格和资质等进行审查，对其所具有的技术技能 进行考核。34.应签署保密协议。人员安全管理35.应从内部人员中选拔从事关键岗位的人员，并签署岗 位安全协议。人员 离岗36.应严格规范人员离岗过程，及时终止离岗员工的所有 访问权限。访谈，检查。安全主管，人事工作人员， 安全处理记录，保密承诺文档。37.应取回各种身份证件、钥匙、徽章等以及机构提供的 软硬件设备。38.应办理严格的调离手续，关键岗位人员离岗须承诺调 离后的保密义务后方可离开。人员 考核39.应定期对各

8、个岗位的人员进行安全技能及安全认知的 考核。访谈。安全主管，人事工作人员。40.应对关键岗位的人员进行全面、严格的安全审查和技 能考核。41.应对考核结果进行记录并保存。安全意识42.应对各类人员进行安全意识教育、岗位技能培训和相 关安全技术培训。访谈，检查。安全主管，安全员，系统 管理员，网络管理员，培训计划，培训类别序号测评内容测评方法结果记录符合情况YNO教育 和培 训43.应对安全责任和惩戒措施进行书面规定并告知相关人 员，对违反违背安全策略和规定的人员进行惩戒。记录.44.应对定期安全教育和培训进行书面规定，针对不同岗 位制疋不冋的培训计划，对信息安全基础知识、冈位 操作规程等进行培

9、训。45.应对安全教育和培训的情况和结果进行记录并归档保 存。外部 人员 访问 管理46.应确保在外部人员访问受控区域前先提出书面申请， 批准后由专人全程陪同或监督，并登记备案。访谈，检查。安全主管，安全管理人员， 安全责任合冋书或保密协议，第三方人 员访问管理文档，登 记记录。47.对外部人员允许访问的区域、系统、设备、信息等内 容应进行书面的规定，并按照规定执行。系统运维管理环境管理48.应指定专门的部门或人员定期对机房供配电、空调、 温湿度控制等设施进行维护管理。访谈，检查。物理安全负责人，机房安 全管理制度，机房进出登记表。49.应指定部门负责机房安全， 并配备机房安全管理人员， 对机

10、房的出入、服务器的开机或关机等工作进行管理。50.应建立机房安全管理制度，对有关机房物理访问，物 品带进、带出机房和机房环境安全等方面的管理作出 规定。51.应加强对办公环境的保密性管理，规范办公环境人员 行为，包括工作人员调离办公室应立即交还该办公室 钥匙、不在办公区接待来访人员、工作人员离开座位 应确保终端计算机退出登录状态和桌面上没有包含敏类别序号测评内容测评方法结果记录符合情况YNO感信息的纸档文件等。资产 管理52.应编制并保存与信息系统相关的资产清单，包括资产 责任部门、重要程度和所处位置等内容。访谈，检查。安全主管，资产管理员， 资产清单，资产安全管理制度，设备。53.应建立资产

11、安全管理制度，规定信息系统资产管理的 责任人员或责任部门， 并规范资产管理和使用的行为。54.应根据资产的重要程度对资产进行标识管理，根据资 产的价值选择相应的管理措施。55.应对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管理。介质管理56.应建立介质安全管理制度，对介质的存放环境、使用、 维护和销毁等方面作出规定。访谈，检查。资产管理员，介质管理记 录，各类介质。57.应确保介质存放在安全的环境中，对各类介质进仃 控制和保护，并实行存储环境专人管理。58.应对介质在物理传输过程中的人员选择、打包、交付 等情况进行控制，对介质归档和查询等进行登记记录， 并根据存档介质的

12、目录清单定期盘点。59.应对存储介质的使用过程、送出维修以及销毁等进行 严格的管理，对带出工作环境的存储介质进行内容加 密和监控管理，对送出维修或销毁的介质应首先清除 介质中的敏感数据，对保密性较咼的存储介质未经批 准不得自行销毁。等级保护三级管理类测评控制点（S3A3G3）类别序号测评内容测评方法结果记录符合情况YNO60.应根据数据备份的需要对某些介质实行异地存储，存 储地的环境要求和管理方法应与本地相冋。61.应对重要介质中的数据和软件米取加密存储，并根据 所承载数据和软件的重要程度对介质进行分类和标识 管理。设备管理62.应对信息系统相关的各种设备（包括备份和冗余设 备）、线路等指定专

13、门的部门或人员定期进行维护管理访谈，检查。资产管理员，系统管理员， 审计员，服务器操作规程，设备审批、 发放管理文档，设备 使用管理文档， 服务器操作日志。63.应建立基于申报、审批和专人负责的设备安全管理制 度，对信息系统的各种软硬件设备的选型、采购、发 放和领用等过程进行规范化管理。64.应建立配套设施、软硬件维护方面的管理制度，对其 维护进行有效的管理，包括明确维护人员的责任、涉 外维修和服务的审批、维修过程的监督控制等。65.应对终端计算机、工作站、便携机、系统和网络等设 备的操作和使用进行规范化管理，按操作规程实现主 要设备（包括备份和冗余设备）的启动/停止、加电/断电等操作。66.

14、应确保信息处理设备必须经过审批才能带离机房或办 公地点。监控管理67.应对通信线路、主机、网络设备和应用软件的运行状 况、网络流量、用户行为等进行监测和报警，形成记访谈，检查。系统运维负责人，监测记录文档，类别序号测评内容测评方法结果记录符合情况YNO和安 全管 理中 心(G3)录并妥善保存。监测分析报告，安全管理中心。68.应组织相关人员定期对监测和报警记录进行分析、评 审，发现可疑行为，形成分析报告，并采取必要的应 对措施。69.应建立安全管理中心，对设备状态、恶意代码、补丁 升级、安全审计等安全相关事项进行集中管理。网络 安全 管理70.应指定专人对网络进行管理，负责运行日志、网络监 控

15、记录的日常维护和报警信息分析和处理工作。访谈，检查。安全主管，安全管理员，网络管理 员，网络漏洞扫描报告，网络安全 管理制度，系统外联授权书，网络 设备备份配置文件，网络审计日志。71.应建立网络安全管理制度，对网络安全配置、日志保 存时间、安全策略、升级与打补丁、口令更新周期等 方面作出规疋。72.应根据厂家提供的软件升级版本对网络设备进行更 新，并在更新前对现有的重要文件进行备份。73.应定期对网络系统进行漏洞扫描，对发现的网络系统 安全漏洞进行及时的修补。74.应实现设备的最小服务配置，并对配置文件进行定期 离线备份。75.应保证所有与外部系统的连接均得到授权和批准。76.应依据安全策略

16、允许或者拒绝便携式和移动式设备的 网络接入。77.应定期检查违反规定拨号上网或其他违反网络安全策 略的行为。类别序号测评内容测评方法结果记录符合情况YNO系统安全管理78.应根据业务需求和系统安全分析确定系统的访问控制 策略。访谈，检杳。安全管理员，系统管理员，系统操 作手册，系统安全管理制度，详细 操作日志，系统审计分析记录，系 统漏洞扫描报告。79.应定期进行漏洞扫描，对发现的系统安全漏洞及时进 行修补。80.应安装系统的最新补丁程序，在安装系统补丁前，首 先在测试环境中测试通过， 并对重要文件进行备份后， 方可实施系统补丁程序的安装。81.应建立系统安全管理制度，对系统安全策略、安全配

17、置、日志管理和日常操作流程等方面作出具体规定。82.应指定专人对系统进行管理，划分系统管理员角色， 明确各个角色的权限、责任和风险，权限设定应当遵 循最小授权原则。83.应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和 修改等内容，严禁进行未经授权的操作。84.应定期对运行日志和审计数据进行分析，以便及时发 现异常行为。恶意代码 防范 管理85.应提高所有用户的防病毒意识，及时告知防病毒软件 版本，在读取移动存储设备上的数据以及网络上接收 文件或邮件之前，先进行病毒检查，对外来计算机或 存储设备接入网络系统之前也应进行病毒检查。访谈，检杳。安全管理

18、员，恶意代码防范管理文 档，恶意代码检测记录，恶意代码86.应指定专人对网络和主机进行恶意代码检测并保存检丿丨级记录，心意代码分析报口。等级保护三级管理类测评控制点（S3A3G3）类别序号测评内容测评方法结果记录符合情况YNO测记录。87.应对防恶意代码软件的授权使用、恶意代码库升级、 定期汇报等作出明确规定。88.应定期检查信息系统内各种产品的恶意代码库的升级 情况并进行记录，对主机防病毒产品、防病毒网关和 邮件防病毒网关上截获的危险病毒或恶意代码进行及 时分析处理，并形成书面的报表和总结汇报。密码管理89.应建立密码使用管理制度，使用符合国家密码管理规 疋的密码技术和产品。访谈，检查。安全

19、管理员，密码管理制度。变更管理90.应确认系统中要发生的变更，并制定变更方案。访谈，检查。系统运维负责人，系统变更申请书， 变更方案，变更管理制度，变更申 报和审批程序，变更失败恢复程序 文档，变更方案评审记录，变更过 程记录文档。91.应建立变更管理制度，系统发生变更前，向主管领导 申请，变更和变更方案经过评审、审批后方可实施变 更，并在实施后将变更情况向相关人员通告。92.应建立变更控制的申报和审批文件化程序，对变更影 响进仃分析并文档化，记录变更头施过程，并妥善保 存所有文档和记录。93.应建立中止变更并从失败变更中恢复的文件化程序， 明确过程控制方法和人员职责，必要时对恢复过程进 行演

20、练。备份与恢复管94.应识别需要定期备份的重要业务信息、系统数据及软 件系统等。访谈，检查。系统运维负责人，系统管理员，数 据库管理员，网络管理员，备份和95.应建立备份与恢复管理相关的安全管理制度，对备份类别序号测评内容测评方法结果记录符合情况YNO理信息的备份方式、备份频度、存储介质和保存期等进 行规范。恢复管理制度文档，备份和恢复策 略文档，备份和恢复程序文档，备 份过程记录文档，检查灾难恢复计 划文档96.应根据数据的重要性和数据对系统运行的影响，制定 数据的备份策略和恢复策略，备份策略须指明备份数 据的放置场所、文件命名规则、介质替换频率和将数 据离站运输的方法。97.应建立控制数据

21、备份和恢复过程的程序，对备份过程 进行记录，所有文件和记录应妥善保存。98.应定期执行恢复程序， 检查和测试备份介质的有效性， 确保可以在恢复程序规定的时间内完成备份的恢复。安全事件处置99.应报告所发现的安全弱点和可疑事件，但任何情况下 用户均不应尝试验证弱点。访谈，检查。乡二怂殓存t 主 anr/Ar A H 匕 4100.应制定安全事件报告和处置管理制度，明确安全事件 的类型，规定安全事件的现场处理、事件报告和后期 恢复的管理职责。101.应根据国家相关管理部门对计算机安全事件等级划分 方法和安全事件对本系统产生的影响，对本系统计算 机安全事件进行等级划分。糸统运维负责人，丄作人贝，女全

22、 事件报告和处置管理制度，安全事 件定级文档，安全事件记录分析文102.应制定安全事件报告和响应处理程序，确定事件的报 告流程，响应和处置的范围、程度，以及处理方法。档，女全事件报口和处理程序乂档。103.应在安全事件报告和响应处理过程中，分析和鉴定事 件产生的原因，收集证据，记录处理过程，总结经验等级保护三级管理类测评控制点（S3A3G3）类别序号测评内容测评方法结果记录符合情况YNO教训，制定防止再次发生的补救措施，过程形成的所 有文件和记录均应妥善保存。104.对造成系统中断和造成信息泄密的安全事件应米用不 同的处理程序和报告程。应急预案管理105.应在统一的应急预案框架下制定不同事件的

23、应急预 案，应急预案框架应包括启动应急预案的条件、应急 处理流程、系统恢复流程、事后教育和培训等内容。访谈，检查。系统运维负责人，应急响应预案文 档，应急预案培训记录，应急预案 演练记录，应急预案审查记录。106.应从人力、设备、技术和财务等方面确保应急预案的 执行有足够的资源保障。107.应对系统相关的人员进行应急预案培训，应急预案的 培训应至少每年举办一次。108.应定期对应急预案进行演练，根据不同的应急恢复内 容，确定演练的周期。109.应规定应急预案需要定期审查和根据实际情况更新的 内容，并按照执行。系统建设管理系统 定级110.应明确信息系统的边界和安全保护等级。访谈，检杳。111.

24、应以书面的形式说明确定信息系统为某个安全保护等 级的方法和理由。112.应组织相关部门和有关安全技术专家对信息系统定级 结果的合理性和正确性进行论证和审定。113.应确保信息系统的定级结果经过相关部门的批准。安全114.应根据系统的安全保护等级选择基本安全措施，并依访谈，检杳。类别序号测评内容测评方法结果记录符合情况YNO万案 设计据风险分析的结果补充和调整安全措施。115.应指定和授权专门的部门对信息系统的安全建设进行 总体规划，制定近期和远期的安全建设工作计划。116.应根据信息系统的等级划分情况，统一考虑安全保障 体系的总体安全策略、安全技术框架、安全管理策略、 总体建设规划和详细设计方

25、案，并形成配套文件。117.应组织相关部门和有关安全技术专家对总体安全策 略、安全技术框架、安全管理策略、总体建设规划、 详细设计方案等相关配套文件的合理性和正确性进行 论证和审定，并且经过批准后，才能正式实施。118.应根据等级测评、安全评估的结果定期调整和修订总 体安全策略、安全技术框架、安全管理策略、总体建 设规划、详细设计方案等相关配套文件。产品 采购 和使 用119.应确保安全产品采购和使用符合国家的有关规定。访谈，检查。120.应确保密码产品采购和使用符合国家密码主管部门的 要求。121.应指定或授权专门的部门负责产品的采购。122.应预先对产品进行选型测试，确定产品的候选范围，

26、并定期审定和更新候选产品名单。自行软件开发123.应确保开发环境与实际运行环境物理分开，开发人员 和测试人员分离，测试数据和测试结果受到控制。访谈，检杳。124.应制定软件开发管理制度，明确说明开发过程的控制类别序号测评内容测评方法结果记录符合情况YNO方法和人员行为准则。125.应制定代码编写安全规范，要求开发人员参照规范编 写代码。126.应确保提供软件设计的相关文档和使用指南，并由专 人负责保管。127.应确保对程序资源库的修改、更新、发布进行授权和 批准。外包软件开发128.应根据开发需求检测软件质量。访谈，检杳。129.应根据开发需求检测软件质量。130.应要求开发单位提供软件设计的相关文档和使用指南131.应要求开发单位提供软件源代码，并审查软件中可能 存在的后门。工程实施132.应指定或授权专门的部门或人员负责工程实施过程的 管理。访谈，检查。133.应制定详细的工程实施方案控制实施过程，并要求工 程实施单位能正式地执行安全工程过程。134.应制定工程实施方面的管理制度，明确说明实施过程 的控制方法和人员行为准则。测试 验收135.应委托公正的第三方测试单位对系统进行安全性测 试，并出具安全性测试报告。访谈